CIPP-E 試験問題 16
GDPR では、個人データを収集する前に、データ主体にどのような重要な情報を提供しなければならないのでしょうか?
CIPP-E 試験問題 17
シナリオ
次の質問に答えるには、以下を使用してください。
ハビエルさんは、フィットネスクラブEVERFITの会員です。この会社は多くのEU加盟国に支店を持っていますが、GDPRの目的上、主要な事業所はフランスにあります。ハビエルさんは、北アイルランド（英国の一部）のニューリーに住んでおり、国境を越えてアイルランドのダンドークに通勤しています。2年前、出張中に、ハビエルさんはドイツのフランクフルトにあるEVERFITの支店でトレーニング中に写真を撮られました。当時、ハビエルさんは、写真は宣伝目的にのみ使用されると説明され、写真に写ることに同意しました。それ以来、その写真はクラブの英国版パンフレットに使用され、英国版ウェブサイトのランディングページにも掲載されています。しかし、このフィットネスクラブは最近、EU加盟国にあるクラブの様々な支店で会員に対する不当な扱いが蔓延したため、評判が悪くなっています。その結果、ハビエルさんは、自分の写真がフィットネスクラブと公に関連付けられることに不快感を覚えるようになりました。
この件について話し合うため、地元支店の支店長との面談予約を何度も試みたものの、うまくいかなかったハビエルはEVETFITに手紙を送り、ウェブサイトとすべての販促資料から自分の写真を削除するよう要請した。数ヶ月が経過しても、要請に対する返答がなかったハビエルは、この件について強い不安を抱くようになった。他の手段を用いてEVETFITに何度も連絡を取ろうとしたが、それでもうまくいかなかったため、彼はEVETFITに対して訴訟を起こすことを決意した。
ハビエルは、この件について英国情報コミッショナー事務局（ICO、英国の監督機関）に苦情を申し立てました。ICOは、GDPR第56条(3)に基づき、CNIL（EVERFITの主要拠点の監督機関）にこの件を通知しました。EVERFITは英国に拠点を有しているにもかかわらず、CNILはGDPR第60条に基づき、この件を処理することを決定しました。
CNILは、協力手続きに基づき、ICOと連携します。監督当局間の決定における問題を考慮し、欧州データ保護会議が関与し、一貫性メカニズムに基づき拘束力のある決定を下します。
さらに、ハビエルさんは、パンフレットとウェブサイトから自分の写真を削除するという要求をEVERFITが受け入れなかったことによる損害についてEVERFITを訴えている。
協力メカニズムの下で、主導機関（CNIL）は、この問題についての見解を形成した後、何をすべきでしょうか?
次の質問に答えるには、以下を使用してください。
ハビエルさんは、フィットネスクラブEVERFITの会員です。この会社は多くのEU加盟国に支店を持っていますが、GDPRの目的上、主要な事業所はフランスにあります。ハビエルさんは、北アイルランド（英国の一部）のニューリーに住んでおり、国境を越えてアイルランドのダンドークに通勤しています。2年前、出張中に、ハビエルさんはドイツのフランクフルトにあるEVERFITの支店でトレーニング中に写真を撮られました。当時、ハビエルさんは、写真は宣伝目的にのみ使用されると説明され、写真に写ることに同意しました。それ以来、その写真はクラブの英国版パンフレットに使用され、英国版ウェブサイトのランディングページにも掲載されています。しかし、このフィットネスクラブは最近、EU加盟国にあるクラブの様々な支店で会員に対する不当な扱いが蔓延したため、評判が悪くなっています。その結果、ハビエルさんは、自分の写真がフィットネスクラブと公に関連付けられることに不快感を覚えるようになりました。
この件について話し合うため、地元支店の支店長との面談予約を何度も試みたものの、うまくいかなかったハビエルはEVETFITに手紙を送り、ウェブサイトとすべての販促資料から自分の写真を削除するよう要請した。数ヶ月が経過しても、要請に対する返答がなかったハビエルは、この件について強い不安を抱くようになった。他の手段を用いてEVETFITに何度も連絡を取ろうとしたが、それでもうまくいかなかったため、彼はEVETFITに対して訴訟を起こすことを決意した。
ハビエルは、この件について英国情報コミッショナー事務局（ICO、英国の監督機関）に苦情を申し立てました。ICOは、GDPR第56条(3)に基づき、CNIL（EVERFITの主要拠点の監督機関）にこの件を通知しました。EVERFITは英国に拠点を有しているにもかかわらず、CNILはGDPR第60条に基づき、この件を処理することを決定しました。
CNILは、協力手続きに基づき、ICOと連携します。監督当局間の決定における問題を考慮し、欧州データ保護会議が関与し、一貫性メカニズムに基づき拘束力のある決定を下します。
さらに、ハビエルさんは、パンフレットとウェブサイトから自分の写真を削除するという要求をEVERFITが受け入れなかったことによる損害についてEVERFITを訴えている。
協力メカニズムの下で、主導機関（CNIL）は、この問題についての見解を形成した後、何をすべきでしょうか?
CIPP-E 試験問題 18
次の状況のうち、個人が処理に対する同意を撤回できる可能性が最も高いのはどれですか?
CIPP-E 試験問題 19
シナリオ
次の質問に答えるには、以下を使用してください。
アンナとフランクは二人ともグランチェスター大学で働いています。アンナはデータ保護を担当する弁護士で、フランクは工学部の講師です。大学では様々な種類の記録を保管しています。
* 学生記録には、氏名、学生番号、自宅住所、大学入学前の情報、大学の出席および成績記録、特別な教育ニーズの詳細、財務情報が含まれます。
* 自伝的資料（カリキュラム、専門家の連絡先ファイル、学生の評価、その他の関連する教育ファイルなど）を含むスタッフの記録。
* 卒業生の記録（出身地、生年、入学日、学位授与日など）。
これらの記録は、グランチェスターの卒業生ポータルに登録した卒業生が閲覧できます。
教育省の記録。特定の人口統計グループ（第一世代の生徒など）が平均的にどの程度の進級が見込まれるかを示しています。これらの記録には、氏名や身分証明書番号は含まれていません。
* 大学はセキュリティ ポリシーに従い、転送中および保存中のすべての個人データ記録を暗号化します。
フランクは、教育の質を向上させるため、工学部の学生の成績が教育省の期待値とどの程度一致しているかを調査したいと考えています。彼はアンナのデータ保護に関する研修コースを受講しており、目標達成に必要な範囲を超えて個人データを使用するべきではないことを理解しています。そこで、学生の過去の出身校、当初の成績、現在の成績、初めて進学した大学など、一部のデータのみをエクスポートするプログラムを作成しました。記録は個々の学生レベルで保管したいと考えています。アンナの研修を踏まえ、フランクは学生番号をアルゴリズムにかけ、異なる参照番号に変換します。各記録を継続的に更新できるよう、毎回同じアルゴリズムを使用します。
アンナの業務の一つは、GDPRの要件に従い、処理活動の記録を完了することです。GDPRの要件に従い、アンナからメールによるリマインダーを受け取った後、フランクはアンナにパフォーマンスデータベースについて連絡します。
アンはフランクに、個人データを最小限に抑えるだけでなく、大学は既存データの新たな利用が許容されるかどうかを確認する必要があると説明した。また、GDPRの下では、データ処理を実施する前にリスク分析を実施する必要があるのではないかとも考えている。アンナは追加調査を行った後、フランクとこの件についてさらに話し合う予定だ。
フランクは空き時間に分析作業を行いたいと考え、データを自宅のノートパソコン（暗号化されていない）に転送しました。ところが、大学にノートパソコンを持っていく途中、電車の中で紛失してしまいます。その日、フランクは互換性のある処理について話し合うため、アンナと面会する必要がありました。セキュリティインシデントを報告する必要があるため、同時にアンナにもノートパソコンの紛失について伝えることにしました。
アンナは、この状況ではリスク分析は必要ないと考えるでしょうか?
次の質問に答えるには、以下を使用してください。
アンナとフランクは二人ともグランチェスター大学で働いています。アンナはデータ保護を担当する弁護士で、フランクは工学部の講師です。大学では様々な種類の記録を保管しています。
* 学生記録には、氏名、学生番号、自宅住所、大学入学前の情報、大学の出席および成績記録、特別な教育ニーズの詳細、財務情報が含まれます。
* 自伝的資料（カリキュラム、専門家の連絡先ファイル、学生の評価、その他の関連する教育ファイルなど）を含むスタッフの記録。
* 卒業生の記録（出身地、生年、入学日、学位授与日など）。
これらの記録は、グランチェスターの卒業生ポータルに登録した卒業生が閲覧できます。
教育省の記録。特定の人口統計グループ（第一世代の生徒など）が平均的にどの程度の進級が見込まれるかを示しています。これらの記録には、氏名や身分証明書番号は含まれていません。
* 大学はセキュリティ ポリシーに従い、転送中および保存中のすべての個人データ記録を暗号化します。
フランクは、教育の質を向上させるため、工学部の学生の成績が教育省の期待値とどの程度一致しているかを調査したいと考えています。彼はアンナのデータ保護に関する研修コースを受講しており、目標達成に必要な範囲を超えて個人データを使用するべきではないことを理解しています。そこで、学生の過去の出身校、当初の成績、現在の成績、初めて進学した大学など、一部のデータのみをエクスポートするプログラムを作成しました。記録は個々の学生レベルで保管したいと考えています。アンナの研修を踏まえ、フランクは学生番号をアルゴリズムにかけ、異なる参照番号に変換します。各記録を継続的に更新できるよう、毎回同じアルゴリズムを使用します。
アンナの業務の一つは、GDPRの要件に従い、処理活動の記録を完了することです。GDPRの要件に従い、アンナからメールによるリマインダーを受け取った後、フランクはアンナにパフォーマンスデータベースについて連絡します。
アンはフランクに、個人データを最小限に抑えるだけでなく、大学は既存データの新たな利用が許容されるかどうかを確認する必要があると説明した。また、GDPRの下では、データ処理を実施する前にリスク分析を実施する必要があるのではないかとも考えている。アンナは追加調査を行った後、フランクとこの件についてさらに話し合う予定だ。
フランクは空き時間に分析作業を行いたいと考え、データを自宅のノートパソコン（暗号化されていない）に転送しました。ところが、大学にノートパソコンを持っていく途中、電車の中で紛失してしまいます。その日、フランクは互換性のある処理について話し合うため、アンナと面会する必要がありました。セキュリティインシデントを報告する必要があるため、同時にアンナにもノートパソコンの紛失について伝えることにしました。
アンナは、この状況ではリスク分析は必要ないと考えるでしょうか?
CIPP-E 試験問題 20
シナリオ
次の質問に答えるには、以下を使用してください。
Wonderkidsは、託児サービスのオンライン予約サービスを提供しています。Wonderkidsはフランスに拠点を置いていますが、ウェブサイトはスイスの企業を通じて運営されています。サービスの一環として、Wonderkidsは、提供されたすべての個人データを、自社のシステムを通じて予約された託児サービス提供者に提供します。ウェブサイトで収集される個人データの種類には、託児サービスを予約した人の氏名、住所、連絡先、そして保育を受ける子供の氏名、年齢、性別、健康情報が含まれます。Wonderkidsのウェブサイトのプライバシーに関する声明には、次のように記載されています。
WonderkKidsは、本ウェブサイトを通じてお客様からご提供いただいた情報を、スケジュール管理および健康・安全上の理由から、お客様の保育サービス提供者に提供します。また、お客様およびお子様の個人情報を当社の正当な事業目的で使用する場合があり、データの保管にはスイスに所在する第三者ウェブサイトホスティング会社を利用しています。スイスに所在する機器に保管されるデータは、お客様およびお子様の個人情報の適切な保護を保証するための欧州委員会の規定を満たしています。
当社は、お客様とお子様の個人情報を、お客様に真の価値を提供できると判断する企業とのみ共有いたします。個人情報をご提供いただくことで、お客様は、関連企業への情報提供およびプロモーション情報の送付に同意するものとします。
当社は、お客様とお客様のお子様の個人情報を最長 28 日間保持することがあります。その時点でデータは匿名化されます。ただし、お客様の個人情報が 28 日を超えて正当な事業目的で使用される場合は、最長 2 年間保持されることがあります。
当社は、お客様およびお子様の個人情報をお客様の同意を得て処理しております。特定の情報をご提供いただけない場合、当社のサービスをご利用いただけない場合があります。お客様には、お客様およびお子様の個人情報へのアクセスを要求する権利、お客様またはお子様の個人情報を訂正または消去する権利、お客様および/またはお子様の個人情報の訂正または消去を求める権利、お客様およびお子様の個人情報の処理に異議を申し立てる権利があります。また、当社のデータ処理活動について監督当局に苦情を申し立てる権利もあります。WonderKidsとホスティングサービスプロバイダー間の契約には、どのような内容を含める必要がありますか？
次の質問に答えるには、以下を使用してください。
Wonderkidsは、託児サービスのオンライン予約サービスを提供しています。Wonderkidsはフランスに拠点を置いていますが、ウェブサイトはスイスの企業を通じて運営されています。サービスの一環として、Wonderkidsは、提供されたすべての個人データを、自社のシステムを通じて予約された託児サービス提供者に提供します。ウェブサイトで収集される個人データの種類には、託児サービスを予約した人の氏名、住所、連絡先、そして保育を受ける子供の氏名、年齢、性別、健康情報が含まれます。Wonderkidsのウェブサイトのプライバシーに関する声明には、次のように記載されています。
WonderkKidsは、本ウェブサイトを通じてお客様からご提供いただいた情報を、スケジュール管理および健康・安全上の理由から、お客様の保育サービス提供者に提供します。また、お客様およびお子様の個人情報を当社の正当な事業目的で使用する場合があり、データの保管にはスイスに所在する第三者ウェブサイトホスティング会社を利用しています。スイスに所在する機器に保管されるデータは、お客様およびお子様の個人情報の適切な保護を保証するための欧州委員会の規定を満たしています。
当社は、お客様とお子様の個人情報を、お客様に真の価値を提供できると判断する企業とのみ共有いたします。個人情報をご提供いただくことで、お客様は、関連企業への情報提供およびプロモーション情報の送付に同意するものとします。
当社は、お客様とお客様のお子様の個人情報を最長 28 日間保持することがあります。その時点でデータは匿名化されます。ただし、お客様の個人情報が 28 日を超えて正当な事業目的で使用される場合は、最長 2 年間保持されることがあります。
当社は、お客様およびお子様の個人情報をお客様の同意を得て処理しております。特定の情報をご提供いただけない場合、当社のサービスをご利用いただけない場合があります。お客様には、お客様およびお子様の個人情報へのアクセスを要求する権利、お客様またはお子様の個人情報を訂正または消去する権利、お客様および/またはお子様の個人情報の訂正または消去を求める権利、お客様およびお子様の個人情報の処理に異議を申し立てる権利があります。また、当社のデータ処理活動について監督当局に苦情を申し立てる権利もあります。WonderKidsとホスティングサービスプロバイダー間の契約には、どのような内容を含める必要がありますか？